La California Privacy Rights Act (CPRA) construye sobre la CCPA y la hace cumplir la California Privacy Protection Agency. La síntesis de Termly cubre la mecánica legal; este artículo se centra en lo que un SaaS debe enviar en su política y stack operativo en 2026.
Qué añade CPRA a CCPA
- Nueva categoría de "información personal sensible" (geolocalización precisa, salud, orientación sexual, religión, biométrico, contenido de comunicaciones)
- Derecho a limitar el uso de PI sensible, además de opt-out de venta/compartir
- Contratos obligatorios con proveedores de servicio y contratistas
- Auditorías anuales y evaluaciones de riesgo para procesadores de alto volumen
- Agencia dedicada (CPPA), no solo el AG
A quién aplica CPRA
Si tu SaaS cumple alguno en California: 25M USD facturación anual, procesa datos de 100k+ californianos, o gana 50%+ ingresos por venta de PI. El umbral de 100k es el que más SaaS en crecimiento cruzan sin querer.
Qué enviar en tu política
1. Bloque de PI sensible
Declara si procesas PI sensible, propósitos, y la ruta de opt-out de uso limitado.
2. Enlace "Do Not Sell or Share" en footer
Dos derechos distintos ahora. Ambos deben honrarse en 15 días hábiles (más estricto que RGPD).
3. Lista de contratos con proveedores de servicio
Documenta quién procesa datos en tu nombre con cláusulas CPRA. Stripe, AWS, HubSpot tienen addenda firmada disponible.
| Derecho | CCPA | Añadido CPRA |
|---|---|---|
| Acceso | Sí | Detalles extendidos de retención |
| Borrado | Sí | Propagación a proveedores |
| Opt-out de venta | Sí | + Opt-out de share |
| Corrección | No | Sí (nuevo CPRA) |
| Limitar PI sensible | No | Sí (nuevo CPRA) |
La CPPA es más activa en 2026 que el AG bajo CCPA. La primera ola se centró en dark patterns de opt-out y falta de contratos. Ambos son fixes de política, no de ingeniería.
Conclusión
CPRA no es RGPD-light; tiene dientes propios y un enforcer propio. Los SaaS que construyeron compliance CCPA en 2020 necesitan refresh 2026. La buena noticia: la mayoría del trabajo es texto de política, no producto.
Para generar sección CPRA-compliant por estado US más RGPD para UE, prueba Termerly gratis.
